{"id":25118,"date":"2026-08-04T11:02:28","date_gmt":"2026-08-04T11:02:28","guid":{"rendered":"https:\/\/windowsreport.com\/fr\/microsoft-decouvre-une-campagne-mondiale-de-malware-via-le-wi-fi-des-hotels\/"},"modified":"2026-08-04T11:02:28","modified_gmt":"2026-08-04T11:02:28","slug":"microsoft-decouvre-une-campagne-mondiale-de-malware-via-le-wi-fi-des-hotels","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/fr\/microsoft-decouvre-une-campagne-mondiale-de-malware-via-le-wi-fi-des-hotels\/","title":{"rendered":"Microsoft d\u00e9couvre une campagne mondiale de malware via le Wi-Fi des h\u00f4tels"},"content":{"rendered":"\n

Microsoft indique que Midnight Blizzard cible les r\u00e9seaux Wi-Fi des h\u00f4tels et des conf\u00e9rences dans le monde entier pour voler des informations d\u2019identification et diffuser des logiciels malveillants aux voyageurs.<\/p>\n\n\n\n

Le groupe de piratage parrain\u00e9 par l\u2019\u00c9tat russe, \u00e9galement connu sous le nom APT29, m\u00e8nerait cette campagne par le biais de Storm-2945, l\u2019un de ses sous-groupes associ\u00e9s.<\/p>\n\n\n\n

Microsoft suit cette activit\u00e9 sous le nom CaptiveCrunch<\/a> et pense que la campagne op\u00e8re depuis au moins mai 2026.<\/p>\n\n\n\n

Les attaquants compromettent le trafic des portails captifs<\/h2>\n\n\n\n

Les attaquants ciblent les r\u00e9seaux d\u2019h\u00f4tellerie qui utilisent des portails captifs, lesquels demandent normalement aux clients de se connecter ou d\u2019accepter les conditions avant d\u2019acc\u00e9der \u00e0 Internet.<\/p>\n\n\n\n

Midnight Blizzard alt\u00e8re le trafic DNS et HTTP pour rediriger les appareils connect\u00e9s vers des sites web malveillants. Microsoft a trouv\u00e9 des preuves que les attaquants pourraient avoir compromis l\u2019infrastructure r\u00e9seau partag\u00e9e plut\u00f4t que des routeurs ou points d\u2019acc\u00e8s individuels.<\/p>\n\n\n\n

L\u2019entreprise n\u2019a pas d\u00e9termin\u00e9 comment les attaquants ont initialement acc\u00e9d\u00e9 aux r\u00e9seaux concern\u00e9s.<\/p>\n\n\n\n

Les r\u00e9seaux h\u00f4teliers ont d\u00e9j\u00e0 \u00e9t\u00e9 confront\u00e9s \u00e0 des menaces similaires par le pass\u00e9. Des attaquants ont pr\u00e9c\u00e9demment d\u00e9tourn\u00e9 le Wi-Fi d\u2019h\u00f4tels pour voler des comptes Microsoft 365, tandis que Microsoft a r\u00e9cemment mis en garde contre des attaques de phishing ciblant des h\u00f4tels au Japon.<\/p>\n\n\n\n

De fausses pages Microsoft 365 volent des informations d\u2019identification<\/h3>\n\n\n\n

Les victimes se connectant \u00e0 un Wi-Fi compromis peuvent atterrir sur de fausses pages de connexion Microsoft 365 qui collectent les noms d\u2019utilisateur et les mots de passe.<\/p>\n\n\n\n

Les attaquants utilisent \u00e9galement le phishing par code d\u2019appareil pour abuser de l\u2019authentification Microsoft Entra ID. Cette m\u00e9thode incite les utilisateurs \u00e0 saisir un code d\u2019appareil d\u2019apparence l\u00e9gitime qui accorde aux attaquants l\u2019acc\u00e8s \u00e0 leurs comptes.<\/p>\n\n\n\n

Microsoft a observ\u00e9 les attaquants utiliser activement ces m\u00e9thodes de redirection \u00e0 partir de juillet.<\/p>\n\n\n\n

De fausses mises \u00e0 jour installent le logiciel malveillant CornFlake<\/h3>\n\n\n\n

Certaines victimes voient des pages frauduleuses de mise \u00e0 jour de navigateur ou de Windows au lieu de formulaires de phishing classiques.<\/p>\n\n\n\n

Ces pages utilisent des instructions de style ClickFix qui persuadent les utilisateurs de copier des commandes, de lancer des programmes d\u2019installation ou d\u2019ex\u00e9cuter des fichiers malveillants. Microsoft a \u00e9galement trouv\u00e9 des signes que les attaquants ciblaient les appareils Android avec des paquets APK malveillants.<\/p>\n\n\n\n

L\u2019une des principales charges utiles est CornFlake, un cheval de Troie d\u2019acc\u00e8s \u00e0 distance bas\u00e9 sur Go con\u00e7u pour maintenir un acc\u00e8s \u00e0 long terme aux ordinateurs Windows.<\/p>\n\n\n\n

CornFlake peut ex\u00e9cuter des commandes \u00e0 distance, enregistrer les frappes au clavier, surveiller l\u2019activit\u00e9 du presse-papiers, effectuer des captures d\u2019\u00e9cran, voler des fichiers, activer le microphone et la webcam, extraire les mots de passe et les cookies du navigateur, d\u00e9rober les jetons de session Microsoft 365, surveiller les p\u00e9riph\u00e9riques USB connect\u00e9s et collecter des informations syst\u00e8me d\u00e9taill\u00e9es.<\/p>\n\n\n\n

Pendant l\u2019installation, CornFlake affiche une fausse fen\u00eatre de progression tout en se copiant dans le dossier %AppData%. Il se fait passer pour un composant Windows l\u00e9gitime appel\u00e9 Cloud Sync Service.<\/p>\n\n\n\n

CornFlake utilise plusieurs m\u00e9thodes de persistance<\/h3>\n\n\n\n

CornFlake peut s\u2019enregistrer en tant que service Windows pour s\u2019ex\u00e9cuter automatiquement.<\/p>\n\n\n\n

Il peut \u00e9galement cr\u00e9er des entr\u00e9es de d\u00e9marrage dans le registre, des t\u00e2ches planifi\u00e9es et un processus de surveillance. Le processus de surveillance restaure les autres m\u00e9canismes de persistance lorsque les \u00e9quipes de s\u00e9curit\u00e9 en suppriment un.<\/p>\n\n\n\n

Cette approche rend le logiciel malveillant plus difficile \u00e0 supprimer compl\u00e8tement d\u2019un appareil infect\u00e9.<\/p>\n\n\n\n

ChocoShell vole les informations d\u2019identification du navigateur et de Microsoft<\/h3>\n\n\n\n

Microsoft a \u00e9galement identifi\u00e9 ChocoShell, un voleur d\u2019informations d\u2019identification PowerShell r\u00e9sidant en m\u00e9moire utilis\u00e9 pendant la campagne.<\/p>\n\n\n\n

ChocoShell cible les cookies du navigateur, les mots de passe enregistr\u00e9s du navigateur, les jetons Microsoft 365, les jetons Azure AD et les informations d\u2019identification Wi-Fi stock\u00e9es.<\/p>\n\n\n\n

Parce que ChocoShell s\u2019ex\u00e9cute principalement en m\u00e9moire, il peut laisser moins de fichiers \u00e0 d\u00e9tecter pour les outils de s\u00e9curit\u00e9 traditionnels.<\/p>\n\n\n\n

Les attaquants g\u00e8rent les victimes via FruitStone<\/h3>\n\n\n\n

Microsoft a d\u00e9couvert un panneau de contr\u00f4le d\u2019attaquant expos\u00e9 appel\u00e9 FruitStone.<\/p>\n\n\n\n

Le panneau permettait aux op\u00e9rateurs de g\u00e9rer les syst\u00e8mes infect\u00e9s, de parcourir les fichiers, d\u2019ex\u00e9cuter des commandes PowerShell, de collecter des captures d\u2019\u00e9cran et d\u2019examiner les frappes au clavier captur\u00e9es.<\/p>\n\n\n\n

Microsoft a \u00e9galement trouv\u00e9 de nombreux commentaires dans le code du logiciel malveillant. Ces commentaires sugg\u00e8rent que les d\u00e9veloppeurs pourraient avoir utilis\u00e9 des outils d\u2019IA lors de la cr\u00e9ation ou de la modification de parties du logiciel malveillant.<\/p>\n\n\n\n

Comment les voyageurs peuvent prot\u00e9ger leurs appareils<\/h3>\n\n\n\n

Les voyageurs et les organisations doivent consid\u00e9rer le Wi-Fi des h\u00f4tels et des conf\u00e9rences comme non fiable, m\u00eame lorsque le r\u00e9seau semble l\u00e9gitime.<\/p>\n\n\n\n

Microsoft recommande les pr\u00e9cautions suivantes\u202f:<\/p>\n\n\n\n